O 123% więcej zgłoszonych CVE dziennie w 2026 niż przed rokiem.

Porównania

Zarządzanie SBOM

Zarządzanie SBOM to ciągła praca: przechowywanie SBOM-ów według produktu i wydania, monitorowanie ich pod kątem nowych podatności i dostarczanie ich osobom, które o nie proszą. Wygenerowanie SBOM to jeden krok w pipeline. Prawdziwym zadaniem jest utrzymanie setek SBOM-ów w stanie użytecznym.

Zaktualizowano

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Każde porównanie pokazuje, w czym drugi produkt jest dobry, czym różni się CRACI i kiedy warto używać obu. Wszystkie kategorie: wszystkie porównania.

Na czym polega zarządzanie SBOM

  1. Zbieranie. Gromadzenie SBOM-ów z własnych buildów i od dostawców, w dowolnym formacie, w jakim trafiają.
  2. Normalizacja. Sprowadzenie plików CycloneDX i SPDX oraz różnych sposobów nazywania komponentów przez narzędzia do jednego spójnego widoku.
  3. Kontrola jakości. Wyszukiwanie braków, takich jak licencje, identyfikatory czy relacje między zależnościami. Zob. jak wygląda słaby SBOM.
  4. Monitorowanie. Ciągłe dopasowywanie przechowywanych SBOM-ów do nowych danych o podatnościach, tak aby biuletyn zamieniał się w listę wydań, których dotyczy.
  5. Triage. Decydowanie, co jest ważne, przekazywanie tego odpowiedzialnemu zespołowi i zapisywanie wyniku, na przykład w oświadczeniu VEX.
  6. Udostępnianie. Przekazywanie klientom, audytorom i regulatorom SBOM dla wersji, o którą pytają.

Nawyki, które za tym stoją, opisują dobre praktyki SBOM. Jeśli temat jest dla Państwa nowy, proszę zacząć od strony czym jest SBOM.

Dlaczego arkusze kalkulacyjne i foldery przestają działać

Jeden produkt z jednym SBOM mieści się w repozytorium. Kilka produktów, każdy z obsługiwanymi wersjami i dostawcami, już nie. Pytania, które się liczą, dotyczą ich wszystkich naraz: które wydania zawierają ten pakiet, którzy klienci używają tych wydań i od kiedy? Odpowiedź na podstawie folderu plików JSON zajmuje dni, a w takiej chwili mają Państwo godziny.

Menedżery, generatory i rejestrowanie w trakcie buildu

  • Menedżery SBOM, takie jak Anchore, FOSSA, Cybeats, Manifest, Lineaje i Dependency-Track, przechowują, analizują i monitorują SBOM-y. Zarządzają otrzymanymi SBOM-ami, więc zapis jest tylko tak kompletny jak generator, który za nim stoi.
  • Generatory SBOM, takie jak Syft, Trivy i cdxgen, skanują katalog, obraz lub lockfile po fakcie. To, co raportują, zależy od plików, które mają przed sobą. Obie grupy obok siebie pokazuje strona najlepsze narzędzia SBOM.
  • Rejestrowanie w trakcie buildu zapisuje zależności podczas działania buildu. To podejście CRACI.

Na co zwrócić uwagę w narzędziu do zarządzania SBOM

  • Importuje zarówno CycloneDX, jak i SPDX, a także SBOM-y od dostawców, jeśli są Państwu potrzebne
  • Śledzi SBOM-y dla każdego wydania, a nie tylko dla każdego repozytorium
  • Ponownie sprawdza przechowywane SBOM-y w miarę publikowania nowych podatności
  • Pokazuje relacje między zależnościami, dzięki czemu znalezisko prowadzi do pakietu, który trzeba zaktualizować
  • Obsługuje triage i VEX, dzięki czemu decyzje są zachowywane
  • Oferuje sposób udostępniania SBOM-ów klientom, jeśli o nie proszą

Miejsce CRACI

CRACI rejestruje SBOM podczas działania Państwa buildu GitHub Actions. Proxy rozpoznające pakiety na runnerze rejestruje każdy pakiet pobrany przez zadanie, łącznie z pakietami przywróconymi z cache CI, dzięki czemu SBOM opisuje build, który wytworzył artefakt, a nie skan uruchomiony gdzieś obok. SBOM każdego zadania ma stan kompletności, a eksporty w formatach CycloneDX i SPDX zawierają zależności przechodnie i deklarowaną licencję każdego komponentu. CRACI na bieżąco ponownie ocenia monitorowane SBOM-y w miarę pojawiania się nowych podatności, a jego widok inwentarza pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie.

Czego Cyber Resilience Act wymaga od SBOM, opisuje strona zgodność z CRA: wymagania dotyczące SBOM i narzędzia. Więcej o generowaniu SBOM w trakcie buildu.

CRACI w porównaniu z każdym narzędziem

Obok siebie

Kilka narzędzi na jednej stronie, gdy wybierają Państwo kategorię, a nie jeden produkt.

Zarządzanie SBOM: najczęściej zadawane pytania

Czym jest zarządzanie SBOM?

To ciągła praca polegająca na zbieraniu SBOM-ów z różnych produktów i od dostawców, utrzymywaniu ich spójności, monitorowaniu ich pod kątem nowych podatności i udostępnianiu ich osobom, które ich potrzebują.

Czym generator SBOM różni się od menedżera SBOM?

Generator tworzy plik SBOM. Menedżer przechowuje SBOM-y z wielu źródeł i stale je sprawdza. Menedżer może być tylko tak kompletny jak otrzymywane przez niego SBOM-y.

Czy potrzebne jest narzędzie do zarządzania SBOM?

Przy jednym produkcie i niewielu wydaniach może wystarczyć generator i staranne przechowywanie. Przy kilku produktach, obsługiwanych wersjach lub SBOM-ach od dostawców pytania obejmują zbyt wiele plików, by odpowiadać na nie ręcznie.

Czy Dependency-Track to narzędzie do zarządzania SBOM?

Tak. To platforma open source od OWASP, która przyjmuje SBOM-y i monitoruje je pod kątem znanych podatności. Uruchamiają ją Państwo sami i sami dostarczają SBOM-y.

Inne kategorie

CRACI w Państwa własnym pipeline

Prosimy umówić demo, a wspólnie przejdziemy przez Państwa buildy, SBOM-y i dowody zgodności.

Umów demo